(57)【要約】【課題】携帯端末、ネットワーク家電機器、センサーデバイスのようなプロセッサ性能、メモリ搭載量などのハードウェアリソースに制限がある装置において、ＩＤＳの処理による性能低下を最小限にとどめる。【解決手段】本発明による装置は、アプリケーションプログラムの通信要求処理または、アプリケーションの起動・終了など端末の内部状態に応じて、不正侵入検知ルールを最適化する機構を設ける。この機構を実現するために、端末の内部状態を検出し使用する不正侵入検知ルールを自動的に決定する機構と、必要な検知ルールのみを有効化する機構を有する。【選択図】図１
2010033100.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークおよび端末への不正侵入検知機能を持ち端末およびネットワーク不正侵入検知に利用する検知ルールを最適化する機能を持つことを特徴とする通信装置。
【請求項２】
装置内または装置外の状態変更を検知し、前記状態変更に対応して使用する不正侵入検知ルールを決定する検知ルール決定手段と、前記不正侵入検知ルールに従い不正侵入を検出する手段とを備えることを特徴とする請求項１に記載の通信装置。
【請求項３】
前記状態変更を検知する手段は、自端末のアプリケーションからの通信要求を受け付け  通信元／先アドレスまたはポート番号から使用する不正侵入検知ルールを決定することを特徴とする請求項２に記載の通信装置。
【請求項４】
前記不正侵入検知ルールを決定する手段は、通信元／先アドレスまたはポート番号と不正侵入検知ルールと対応づけて記憶する記憶手段と、前記記憶手段を用いて不正侵入検知ルールを決定することを備えることを特徴とする請求項３に記載の通信装置。
【請求項５】
前記状態変更を検知する手段は、アプリケーションの起動・終了を検出し、起動・終了したアプリケーションから不正侵入検知ルールを決定することを特徴とする請求項２に記載の通信装置。
【請求項６】
前記不正侵入検知ルールを決定する手段は、アプリケーションの識別子と不正侵入検知ルールとを対応づけて記憶する記憶手段と、前記記憶手段を用いて不正侵入検知ルールを決定することを特徴とする請求項５に記載の通信装置。
【請求項７】
前記状態変更を検知する手段は、他端末の通信要求を受け付け通信元／先アドレスまたはポート番号から使用する不正侵入検知ルールを決定することを特徴とする請求項２に記載の通信装置。
【請求項８】
前記状態変更を検知する手段は、自端末の通信データを監視し通信データによって不正侵入検知ルールを決定することを特徴とする請求項２に記載の通信装置。
【請求項９】
装置内または装置外の状態変更を検知し、前記状態変更に対応して使用する不正侵入検知ルールを決定する検知ルール決定処理と、前記不正侵入検知ルールに従い不正侵入を検出する処理とを備えることを特徴とする請求項１に記載の通信プログラム。
【請求項１０】
前記状態変更を検知する処理は、アプリケーションからの通信要求を受け付け通信元／先アドレスまたはポート番号から使用する不正侵入検知ルールを決定することを特徴とする請求項９に記載の通信プログラム。
【請求項１１】
前記不正侵入検知ルールを決定する処理は、通信元／先アドレスまたはポート番号と不正侵入検知ルールと対応づけて記憶する記憶処理と、前記記憶処理を用いて不正侵入検知ルールを決定することを備えることを特徴とする請求項１０に記載の通信プログラム。
【請求項１２】
前記状態変更を検知する処理は、アプリケーションの起動・終了を検出し、起動・終了したアプリケーションから不正侵入検知ルールを決定することを特徴とする請求項９に記載の通信プログラム。
【請求項１３】
前記不正侵入検知ルールを決定する処理は、アプリケーションの識別子と不正侵入検知ルールとを対応づけて記憶する記憶処理と、前記記憶手段を用いて不正侵入検知ルールを決定すること  を特徴とする請求項１２に記載の通信プログラム。
【請求項１４】
前記状態変更を検知する処理は、他端末の通信要求を受け付け通信元／先アドレスまたはポート番号から使用する不正侵入検知ルールを決定することを特徴とする請求項９に記載の通信プログラム。
【請求項１５】
前記状態変更を検知する手段は、自端末の通信データを監視し通信データによって不正侵入検知ルールを決定することを特徴とする請求項１０に記載の通信装置。
【請求項１６】
装置内または装置外の状態変更を検知し、前記状態変更に対応して使用する不正侵入検知ルールを決定する検知ルールの決定と、前記不正侵入検知ルールに従い不正侵入の検出とを備えることを特徴とする請求項１記載の通信方式。
【請求項１７】
前記状態変更を検知する方法は、アプリケーションからの通信要求を受け付け通信元／先アドレスまたはポート番号から使用する不正侵入検知ルールを決定することを特徴とする請求項１６に記載の通信方式。
【請求項１８】
前記不正侵入検知ルールを決定する方法は、通信元／先アドレスまたはポート番号と不正侵入検知ルールと対応づけて記憶する記憶処理と、前記記憶処理を用いて不正侵入検知ルールを決定することを備えることを特徴とする請求項１７に記載の通信方式。
【請求項１９】
前記状態変更を検知する方法は、アプリケーションの起動・終了を検出し、起動・終了したアプリケーションから不正侵入検知ルールを決定することを特徴とする請求項１６に記載の通信方式。
【請求項２０】
前記不正侵入検知ルールを決定する方法は、アプリケーションの識別子と不正侵入検知ルールとを対応づけて記憶する記憶処理と、前記記憶手段を用いて不正侵入検知ルールを決定することを特徴とする請求項１９に記載の通信方式。
【請求項２１】
前記状態変更を検知する方法は、他端末の通信要求を受け付け通信元／先アドレスまたはポート番号から使用する不正侵入検知ルールを決定することを特徴とする請求項１６記載の通信方式。
【請求項２２】
前記状態変更を検知する手段は、自端末の通信データを監視し通信データによって不正侵入検知ルールを決定することを特徴とする請求項１６に記載の通信装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク不正侵入検知プログラムおよびネットワーク不正侵入検知プログラムを有する装置に関し、特に、ネットワークに接続する装置の内部状態またはネットワーク上の端末などの状態に応じて不正侵入検知プログラムの動作を最適化することが可能な装置に関するものである。
【背景技術】
【０００２】
Ｗｅｂページ改ざんやＤｏｓ攻撃（サービス不能攻撃）など、システムへの不正侵入の最初のステップとしてのネットワーク攻撃は増加の一途を辿っている。これらの攻撃は従来のファイアウォールだけでは防御が困難である。
【０００３】
このような攻撃に対する対策として、ネットワーク異常を検知しネットワーク管理者に通知するＩＤＳ（ネットワーク不正侵入検知装置）がある。侵入口を探る偵察行動や実際の侵入の試みは日常茶飯事となり、ハッキングも増加している現在、ＩＤＳはネットワーク管理上は不可欠なものになってきている。
【０００４】
ＩＤＳは、通信パケットを不正侵入を検出するためのパターンと照合することによりネットワーク異常を検知するという仕組みとなっている。このパターンを、以後不正侵入検知ルールと呼ぶ。ネットワーク異常が増大すると、不正侵入検知ルールとのマッチングの処理負荷が増大し、装置上のプロセッサ、メモリ資源などハードウェアリソースを大幅に消費するという問題点がある。
【０００５】
また、サーバ装置などに組み込まれるＩＤＳであっても将来マッチングさせる不正侵入検知ルールが増加すると、想定されたプロセッサ、メモリ資源を超え処理負荷が増大する可能性がある。このため、特に携帯端末、ネットワーク家電機器、センサーデバイスのようなプロセッサ性能、メモリ搭載量などのハードウェアリソースが限られている装置にＩＤＳを搭載する場合、ＩＤＳによる処理プロセッサ負荷増大、メモリ消費量増大により、本来機器が行うべき処理性能を悪化させてしまう可能性がある。
【０００６】
したがって、発生する可能性が低い、あるいは装置、ネットワークにとって害のない不正侵入検知ルールを削除して数を削減し、ＩＤＳによる性能低下を最小限にとどめるのが望ましい。
【０００７】
この課題を解決するために本発明より先に出願された技術文献として、特許文献１に記載されたアクセスログに基づいた不正侵入検知ルールの自動生成に関するものがある。
【０００８】
この特許文献１は、端末へのネットワーク不正侵入を検知し不正アクセスがあった場合、そのアクセスに対応する異常パケットの検知処理を自動的に追加する端末装置である。このため、事前に多数の不正侵入検知ルールを装置に設定しておく必要がない。
【０００９】
また、ネットワークにとって害のない不正侵入検知ルールを削除して数を削減し、ＩＤＳによる性能低下を最小限にするための技術文献として、特許文献２に記載されたホスト構成自動検知型ＩＤＳシステムがある。
【００１０】
この特許文献２は、監視対象ホストの構成により、不正侵入検知ルールを削減する機能を持っている。
【００１１】
【特許文献１】特開２００５−３１６７７９号公報
【特許文献２】特開２００３−９２６０３号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
上述の特許文献１に記載の技術では、不正アクセスがあった場合に改めて異常パケットの検知処理を追加するので、初回の不正アクセスに対しては効果がないという問題点がある。
【００１３】
したがって、ネットワーク管理者や端末利用者は不正アクセスの痕跡を知ることができず、侵入された端末を踏み台に新たなセキュリティ問題が発生する危険性がある。
【００１４】
また、特許文献２に記載の技術では、構成スキャナがスキャンしたデータからＩＤＳのルールセットへの変換する方式については言及されていない。本発明では、このようなセキュリティリスクを回避しつつ、かつＩＤＳによる性能低下を最小限にする方法を提供する。
【００１５】
従来の第１の問題点は、携帯端末、ネットワーク家電機器、センサーデバイスのようなプロセッサ性能、メモリ搭載量などのハードウェアリソースに制約がある装置においては、ＩＤＳの処理により装置の性能が大幅に低下してしまう可能性があるという点である。また、ＩＤＳの処理はハードウェアリソースが十分な装置でも負荷処理を大幅に消費するのでネットワーク不正アクセスの種類が増加すると処理しきれなくなる可能性がある。
【００１６】
その理由は、不正侵入検知ルールを多数設定すると、不正侵入検知処理がプロセッサやメモリのリソースを大幅に消費し、本来行いたい処理が行えなくなる可能性があるためである。また、処理効率、応答時間、通信効率の低下も起こる。
【００１７】
第２の問題点は、第１の問題点を解決するために不正侵入検知ルールを削減しすぎると、セキュリティリスクが増大するという点である。
【００１８】
その理由は、事前に不正侵入検知ルールを設定しておかなければ、この不正侵入検知ルールに対応する最初の攻撃がきたときにこれを防御できないためである。
［発明の目的］
本発明の目的は、通信要求や、アプリケーション状態など端末内部の状態、またはネットワーク上の端末の状態によって不正侵入検知ルールを最適化することでＩＤＳによる処理性能低下を最小限にとどめることである。
【００１９】
また、従来のアプリケーションに改造を行うと開発コストが掛かるので、従来のアプリケーションは改造を行わずに上記動作を行うことができる手段を提供する。
【課題を解決するための手段】
【００２０】
上述の目的を達成するために、本発明による装置は、アプリケーションプログラムの通信要求処理、アプリケーションの起動・終了、外部端末の状態などに応じて、不正侵入検知ルールを装置動作時に変更する機構を設ける。この機構を実現するために端末の内部状態を検出し必要な不正侵入検知ルールを自動的に決定する機構と、必要な不正侵入検知ルールのみ不正侵入検知ルールのマッチング対象とする機構を有することを特徴とするものである。
【発明の効果】
【００２１】
本発明は、必要な不正侵入検知ルールのみを有効化することによって、ネットワークおよび端末の不正侵入検知処理を行う通信装置のハードウェアリソース（プロセッサ、メモリなど）を有効利用する。この結果、本発明によれば、例えば携帯端末などのハードウェアリソースが制限された装置でも不正侵入検知処理を実行することができるという効果を奏する。
【００２２】
また、本発明によれば、通信時時の不要な不正侵入検知ルールとの比較処理を行う必要がなくなるので、通信効率向上の効果がある。
【発明を実施するための最良の形態】
【００２３】
以下、本発明の実施の形態について図面を参照して詳細に説明する。
【００２４】
図１を参照しながら、本発明の装置について説明する。
【００２５】
図１は、本発明を実施するための第一の実施の形態を示すブロック図である。
【００２６】
端末１の内部構成を詳細に記述したものが、図１である。
【００２７】
端末１は、アプリケーション１１と、ソケット１２と、通信要求検出部１３と、ポート・検知ルールデータベース１４と、検知ルール構成変更部１５と、検知ルールデータベース１６と、ＩＤＳ１７とから構成される。
【００２８】
アプリケーション１１は、携帯端末１に内蔵されるアプリケーションである。
【００２９】
ソケット１２は、一般的なＯＳでよく使われるソケットライブラリなどの通信ライブラリである。ソケット１２は、通常の通信処理に加え、待ち受けまたは接続要求を受け付けたときに使用するポート番号を通信要求検出部１３に通知する。
【００３０】
通信要求検出部１３は、ソケット１２からポート番号を受け取り、ポート・検知ルールデータベース１４を参照して、受け取ったポート番号に対応する不正侵入検知ルール番号に変換する。また、不正侵入検知ルール番号を検知ルール構成変更部１５に通知する。
【００３１】
ポート・検知ルールデータベース１４は、ポート番号と、対応不正侵入検知ルール番号との変換を行うデータベースである。
【００３２】
検知ルール構成変更部１５は、不正侵入検知ルール番号を受け取り、不正侵入検知ルールの有効／無効化を検知ルールデータベース１６に指示する。また、ＩＤＳ１７に不正侵入検知ルールの変更を指示する。
【００３３】
検知ルールデータベース１６は、不正侵入検知ルール番号と、対応する不正侵入検知ルールとの変換を行う、また、不正侵入検知ルールが有効／無効かのフラグを保存しており、外部から指示により不正侵入検知ルール有効／無効フラグの変更が行える。
【００３４】
ＩＤＳ１７は、不正侵入検知ルールの変更指示を受け取り、不正侵入検知ルールの有効／無効化を行う。
【００３５】
次に、図１、図２、図３、図４を参照して本実施の形態の全体の動作について詳細に説明する。
【００３６】
図２は、ポート番号から、検知ルール識別子に変換を行うポート・検知ルールデータベース１４の変換表の一例である。
【００３７】
図３は、検知ルール識別子から、検知ルールへの変換と、検知ルールの有効／無効を判定する検知ルールデータベース１６の一例である。
【００３８】
図４は、本発明の第一の実施の形態においてポート番号の待ち受けからＩＤＳ構成変更が行われるまでの動作シーケンスである。
【００３９】
アプリケーション１１が、特定のポート番号で待ち受けを行うとき、ソケット１２の待ち受け開始・終了関数（たとえばＰＯＳＩＸのａｃｃｅｐｔ（）、ｃｌｏｓｅ（）などの待ち受け関数）を呼び出す。ここでは、８０番ポートで待ち受け開始・終了を行う場合を例にとって説明する（図４参照）。
【００４０】
アプリケーション１１は、待ち受けポート番号８０を入力として、ソケット１２を呼び出し、通信待ち受け開始・終了処理を依頼する（図４のステップａ１）。
【００４１】
ソケット１２は、入力として与えられたポート番号８０を通信要求検出部１３に通知する。また、不正侵入検知ルールの構成が変更されるまで通信待ち受け開始・終了の実行を行わず待機する（ステップａ２）。
【００４２】
通信要求検出部１３は、入力として与えられたポート番号８０を入力としてポート・検知ルールデータベース１４に不正侵入検知ルール番号の問い合わせを行う（ステップａ３）。
【００４３】
ポート・検知ルールデータベース１４は、ポート番号に対応する不正侵入検知ルール番号を返す。テーブルの内容が図２の例のものである場合、ポート・検知ルールデータベース１４は、ポート番号８０に対応する不正侵入検知ルール番号１、２を通信要求検出部１３に返す（ステップａ４）。
【００４４】
通信要求検出部１３は、ポート・検知ルールデータベース１４より返された不正侵入検知ルール番号（ここでは、１、２）を引数に検知ルール構成変更部１５に不正侵入検知ルール変更の指示を行う（ステップａ５）。
【００４５】
待ち受け開始の場合は、検知ルール構成変更部１５は、不正侵入検知ルール番号１、２を有効化するように検知ルールデータベース１６（図３参照）に指示を行う。
【００４６】
また、待ち受け終了の場合は、検知ルール構成変更部１５は、不正侵入検知ルール番号１、２を無効化するように検知ルールデータベース１６に指示を行う（ステップａ６）。
【００４７】
不正侵入検知ルールの構成変更が行われたので、検知ルール構成変更部１５は、ＩＤＳ１７に不正侵入検知ルールの構成変更通知を送る（ステップａ７）。
【００４８】
ＩＤＳ１７は有効／無効フラグが有効になっている不正侵入検知ルールをロードする（ステップａ８）。
【００４９】
検知ルール構成変更部１５は、ソケット１２に構成変更完了通知を送信する（ステップａ９）。
【００５０】
ソケット１２は、８０番ポートでの待ち受け開始・終了処理を行う（ステップａ１０）。
【００５１】
続いて、発明を実施するための第二の実施の形態について図面を参照して詳細に説明する。
【００５２】
図５は、本発明の第二の実施の形態を実施するためのブロック図である。
【００５３】
図５に、本実施例の端末１の内部構成を記述する。
【００５４】
端末１は、アプリケーション１１と、アプリケーション起動監視１８と、アプリケーション・検知ルールデータベース１９と、検知ルール構成変更部１５と、検知ルールデータベース１６と、ＩＤＳ１７とから構成される。
【００５５】
アプリケーション起動監視１８は、アプリケーションの起動・終了を監視し、起動・終了したアプリケーションに対応する不正侵入検知ルールの識別子に変換する。また、不正侵入検知ルールの識別子を検知ルール構成変更部１５に通知する。
【００５６】
アプリケーション・検知ルールデータベース１９は、アプリケーションの識別子と、対応不正侵入検知ルールの変換を行うデータベースである。
【００５７】
検知ルール構成変更部１５と、検知ルールデータベース１６と、ＩＤＳ１７については、第一の実施の形態と同様のものを利用する。
【００５８】
次に、図５、図６、図７を参照して本実施の形態の  全体の動作について詳細に説明する。
【００５９】
図６は、アプリケーション識別子から、検知ルール識別子に変換を行うポート・検知ルールデータベース１４の変換表の一例である。
【００６０】
図７は、本発明の第二の実施の形態においてアプリケーションを起動した時にＩＤＳ構成変更が行われるまでの動作シーケンスである。
【００６１】
アプリケーション１１が起動・終了されると、アプリケーション起動監視１８は起動・終了したアプリケーションの識別子を取得する。ここでは、ｈｔｔｐサーバアプリケーションを例にとって説明する（図７のステップｂ１）。
【００６２】
アプリケーション起動監視１８はアプリケーション識別子から不正侵入検知ルール識別子への変換を行うために、アプリケーション・検知ルールデータベース１９にアプリケーション識別子を引数にして不正侵入検知ルール識別子の問い合わせを行う（ステップｂ２）。
【００６３】
アプリケーション・検知ルールデータベース１９は、アプリケーション識別子に対応する不正侵入検知ルールを返す。テーブルの内容が図６の場合アプリケーション・検知ルールデータベース１９は、ｈｔｔｐサーバアプリケーションに対応する不正侵入検知ルールの識別子１、２をアプリケーション起動監視１８に返す（ステップｂ３）。
【００６４】
アプリケーション起動監視１８は、アプリケーション・検知ルールデータベース１９より返された不正侵入検知ルールの識別子（ここでは、１、２）を引数に検知ルール構成変更部１５に不正侵入検知ルール変更の指示を行う（ステップｂ４）。
【００６５】
ステップａ６からステップａ８までは、上述の第一の実施の形態と同様の処理を行う。
【００６６】
続いて、本発明の第三の実施の形態について図面を参照して詳細に説明する。
【００６７】
図８は、本発明の第三の実施の形態を実施するためのブロック図である。
【００６８】
図８に、本実施例の端末１と端末２の内部構成を記述する。
【００６９】
端末１は、通信要求検出部１ａと、ポート・検知ルールデータベース１４と、検知ルール構成変更部１５と、検知ルールデータベース１６と、ＩＤＳ１７とから構成される。
【００７０】
端末２は、アプリケーション２１と、ソケット２２とから構成される。
【００７１】
通信要求検出部１ａは、外部の端末から通信開始・完了要求の種類とポート番号を受け取り、ポート番号に対応する不正侵入検知ルール番号に変換する。また、不正侵入検知ルール番号を検知ルール構成変更部１５に通知する。
【００７２】
アプリケーション２１は、携帯端末に内蔵されるアプリケーションである。
【００７３】
ソケット２２は、一般的なＯＳでよく使われるソケットライブラリなどの通信ライブラリである。ソケット２２は、通常の通信処理に加え、待ち受けまたは、接続要求を受け付けた時に使用するポート番号  を通信要求検出部１ａに通知する。
【００７４】
端末１のポート・検知ルールデータベース１４と、検知ルール構成変更部１５と、検知ルールデータベース１６と、ＩＤＳ１７は最良の形態と  同様のものを利用する。
【００７５】
次に、図８、図９を参照して本実施の形態の全体の動作について詳細に説明する。
【００７６】
図９は、本発明の第三の実施の形態においてアプリケーションを起動した時にＩＤＳ構成変更が行われるまでの動作シーケンスである。
【００７７】
アプリケーション２１は、待ち受けポート番号８０を入力として、ソケット２２を  呼び出し、通信待ち受け開始・終了処理を依頼する（図９のステップｃ１）。
【００７８】
ソケット２２は、入力として与えられたポート番号８０と通信開始・完了要求の種類を通信要求検出部１ａに通知する。また、不正侵入検知ルールの構成が変更されるまで通信待ち受け開始・終了の実行を行わず待機する（ステップｃ２）。
【００７９】
通信要求検出部１ａは、入力として与えられたポート番号８０を入力としてポート・検知ルールデータベース１４に不正侵入検知ルール番号の問い合わせを行う（ステップｃ３）。
【００８０】
ポート・検知ルールデータベース１４は、ポート番号に対応する不正侵入検知ルール番号を返す。テーブルの内容が図２の場合ポート・検知ルールデータベース１４は、ポート番号８０に対応する不正侵入検知ルール番号１、２を通信要求検出部１３に返す（ステップｃ４）。
【００８１】
通信要求検出部１３は、ポート・検知ルールデータベース１４より返された不正侵入検知ルール番号（ここでは、１、２）を引数に検知ルール構成変更部１５に不正侵入検知ルール変更の指示を行う（ステップｃ５）。
【００８２】
以後ステップａ６から、ステップａ８までは、上述の第一の実施の形態と同様の処理を行う。
【００８３】
検知ルール構成変更部１５は、ソケット２２に構成変更完了通知を送信する（ステップｃ６）。
【００８４】
ソケット２２は、８０番ポートでの待ち受け開始・終了処理を行う（ステップｃ７）。
【００８５】
次に、図１０、図１１、図１２を参照して本発明の第四の実施の形態の全体の動作について詳細に説明する。
【００８６】
図１０は、本発明の第四の実施の形態を実施するためのブロック図である。
【００８７】
図１１は、プロトコル識別子から、検知ルール識別子に変換を行うプロトコル・検知ルールデータベース１ｅの変換表の一例である。
【００８８】
図１２は、本発明の第四の実施の形態においてアプリケーションを起動した時にＩＤＳ構成変更が行われるまでの動作シーケンスである。
【００８９】
この第四の実施の形態は、上述の第一の実施の形態を改良したもので、ポート番号が動的に変化し、音声、映像プロトコルなど様々なデータ形式に対応するようにＲＴＰなどのプロトコルで実施するための実施形態である。
【００９０】
なお、ステップａ５以降の動作は上述の第一の実施の形態と同様の物なので、記述を省略する。
【００９１】
電話アプリケーション１ｂは、音声や映像などの通信を開始するために、通信許可データ（たとえばＳＩＰプロトコルの２００ＯＫ）の送信の指示をソケット１ｃに行う。通信許可データ（たとえばＳＤＰ）には、利用する音声や映像プロトコルのタイプや待ち受けポートが入っている（ステップｄ１）。
【００９２】
ソケット１ｃは、電話アプリケーション１ｂにより送信指示を受け付け、ＳＤＰを解析し、音声や映像プロトコル識別子と、ポート番号を取り出す（ステップｄ２）。
【００９３】
ソケット１ｃは、ステップｄ２の解析により取り出されたプロトコル識別子と、ポート番号を通信要求検出部１ｄに引き渡す（ステップｄ３）。
【００９４】
通信要求検出部１ｄは、ソケット１ｃより引き渡されたプロトコル識別子から検知ルールに変換するために、プロトコル識別子をキーにしてプロトコル・検知ルールデータベース１ｅ（図１１参照）の検索を行う（ステップｄ４）。
【００９５】
プロトコル・検知ルールデータベース１ｅは、プロトコル識別子に対応した検知ルール番号を通信要求検出部１ｄに返却する（ステップｄ５）。
【産業上の利用可能性】
【００９６】
本発明の活用例として、コンピュータ、携帯情報端末、携帯電話などの入力操作部を必要とする機器がある。
【００９７】
本発明にかかるネットワーク不正侵入検知装置は、通信装置に適用可能である。
【図面の簡単な説明】
【００９８】
【図１】本発明を実施するための第一の実施の形態を示すブロック図である。
【図２】ポート番号から、検知ルール識別子に変換を行うポート・検知ルールデータベース１４の変換表の一例を示す図である。
【図３】検知ルール識別子から、検知ルールへの変換と、検知ルールの有効／無効を判定する検知ルールデータベース１６の一例を示す図である。
【図４】本発明の第一の実施の形態においてポート番号の待ち受けからＩＤＳ構成変更が行われるまでの動作シーケンスを示す図である。
【図５】本発明の第二の実施の形態を実施するためのブロック図である。
【図６】アプリケーション識別子から、検知ルール識別子に変換を行うポート・検知ルールデータベース１４の変換表の一例を示す図である。
【図７】本発明の第二の実施の形態においてアプリケーションを起動した時にＩＤＳ構成変更が行われるまでの動作シーケンスを示す図である。
【図８】本発明の第三の実施の形態を実施するためのブロック図である。
【図９】本発明の第三の実施の形態においてアプリケーションを起動した時にＩＤＳ構成変更が行われるまでの動作シーケンスを示す図である。
【図１０】本発明の第四の実施の形態を実施するためのブロック図である。
【図１１】プロトコル識別子から、検知ルール識別子に変換を行うプロトコル・検知ルールデータベース１ｅの変換表の一例を示す図である。
【図１２】本発明の第四の実施の形態においてアプリケーションを起動した時にＩＤＳ構成変更が行われるまでの動作シーケンスを示す図である。
【符号の説明】
【００９９】
１  端末装置
１１  アプリケーション
１２  ソケット
１３  通信要求検出部
１４  ポート・検知ルールデータベース
１５  検知ルール構成変更部
１６  検知ルールデータベース
１７  ＩＤＳ
【図１】
2010033100.tif 000003
【図２】
2010033100.tif 000004
【図３】
2010033100.tif 000005
【図４】
2010033100.tif 000006
【図５】
2010033100.tif 000007
【図６】
2010033100.tif 000008
【図７】
2010033100.tif 000009
【図８】
2010033100.tif 000010
【図９】
2010033100.tif 000011
【図１０】
2010033100.tif 000012
【図１１】
2010033100.tif 000013
【図１２】
2010033100.tif 000014